Ковыряясь в настройках смартфона Huawei Honor 8, я начал добавлять снимки отпечатка пальца в смартфон. Для того чтобы быстро его разблокировать.
И тут я задумался: как это работает? Начал гуглить и увидел в блоге Elcomsoft две статьи о том, как с отпечатками пальцев взаимодействуют iOS, Android и Windows (Microsoft Hello).
Elcomsoft — частная российская компания, которая занимается кибербезопасностью и разрабатывает программное обеспечение для восстановления операционных систем и паролей.
В блоге компании вышли две статьи (1 | 2) о сканерах отпечатка пальца и безопасности. Я их прочитал, перевел и адаптировал.
Apple
Устройства Apple хранят данные отпечатка пальца в специальной защищенной зоне процессора; эти данные не попадают в iCloud или на сервера компании. Apple хранит снимки отпечатков пальцев в математической форме, которую невозможно исследовать при помощи обратной разработки (реверс-инжиниринга).
При этом сам модуль Touch ID глубоко связан с «железом» и программным обеспечением — еще на производственных линиях каждый модуль проходит настройку для работы с защищенной областью процессора конкретного устройства.
Год назад, после обновления до iOS 9, люди столкнулись с блокировкой сканеров отпечатка пальца и ошибками № 53. Это происходило из-за того, что люди обращались в неавторизованные сервисные центры и меняли модули Touch ID (или экраны) — а СЦ не сопрягали сканеры с операционной системой.
Но Touch ID — не панацея безопасности; его можно взломать. Поэтому Apple ограничивает эффективное время действия сканера 48 часами (если на протяжении этого времени устройство ни разу не было разблокировано) и 8 часами (если на протяжении шести дней до этого пользователь ни разу не вводил пароль).
Если устройство Apple было выключено или перезагружено, то при первом входе в ОС пользователь должен ввести пароль; если он сохранил новый отпечаток палец — тоже должен ввести пароль.
Elcomsoft хвалит Apple за такой строгий подход к безопасности своих устройств. И пусть биометрический метод разблокировки изначально не безопасен на 100%, Apple сделала все возможное, чтобы работа Touch ID стала образцовым примером для других производителей планшетов и смартфонов.
Android
Большое количество устройств и производителей — главная особенность операционной системы Android. Но это и ее главное проклятие: каждая компания сооружает для работы смартфона свой набор фреймворков, сервисов и приложений. Аналогично и со сканерами отпечатка пальца.
Были случаи, когда смартфон никак не защищал данные пользователя. Например, Samsung Galaxy S5 — хакер мог легко попасть в «защищенное» хранилище данных и украсть данные владельца устройства.
Еще сильнее выделилась компания HTC: ее огромный «плафон» HTC One Max (октябрь 2013 года) хранил в памяти несжатую копию отпечатка пальца в графическом файле по адресу
/data/dbgraw.bmp. Хранил в картинке, которую «видело» любое приложение!
Поэтому, начиная с версии Android 6.0 Marshmallow, операционная система по умолчанию поддерживает сканеры отпечатка пальца. Для взаимодействия с этим модулем системы Google предоставила разработчикам и производителям весь необходимый набор инструкций.
Теперь для использования сканера отпечатка пальца компания-производитель должна соблюсти ряд условий, но главное — обязана включить в устройстве принудительное шифрование данных. Даже если после этого смартфон начнет «тормозить» из-за падения скорости чтения и записи файлов.
Настройка сканера отпечатка пальца в Honor 8
Условия, которые выдвигает Google производителям смартфонов:
- Запрещено использовать другие программные реализации сканера отпечатка пальца;
- Хранить данные об отпечатке пальца где-то, кроме обособленной защищенной зоны процессора (Trusted Execution Environment);
- После пяти неудачных попыток разблокировки смартфона должны следовать 30-секундные паузы после каждой новой попытки входа;
- Добавление и удаление отпечатков пальца должны сопровождаться вводом пароля или другими способами аутентификации;
- Все устройства, которые обновляются до Android 6.0, должны следовать этим правилам.
Если производитель не соблюдает правила безопасности, то Google не пропускает его устройство на этапе сертифицирования.
В своих смартфонах Google назвала этот программный пакет Nexus Imprint: первыми смартфонами с Nexus Imprint стали Huawei Nexus 6P и LG Nexus 5X. Как в случае и с Touch ID, данные сканов пальца не отправляются в Google, не синхронизируются между устройствами, не отсылают данные другим приложениям и хранятся только на телефоне.
Настройка сканера отпечатка пальца в Nexus 6P
Но и Nexus Imprint тоже не панацея. Любой метод «умной» разблокировки Android обходит сканер отпечатка пальца и предоставляет полный доступ к смартфону.
Smart Unlock — особенность ОС Android. Пользователь может выбрать, при каких условиях не надо вручную разблокировать смартфон. Условия могут быть разные: по определенному местоположению, при подключении к Bluetooth-устройству или определенной WiFi-сети.
Однако главная проблема кроется в многообразии устройств на Android. Даже если они соответствуют всем требованиям Google, технологии самих сканеров сильно отличаются друг от друга. Часто их легко обмануть вне зависимости от используемого ПО.
Elcomsoft называет реализацию сканера отпечатка пальца на Android-смартфонах «неоднозначной» — все зависит от конкретного смартфона. Но Nexus 6P и Nexus 5X, вкупе с шифрованием данных и Android 6.0, предоставляют хорошую модель проверки данных пальца. Она продуманная и безопасная.
Windows Hello
Microsoft везде выделяется, и в безопасности тоже — Windows Hello это новый способ входа в ОС без пароля. Он есть на компьютерах c Windows 10 и в смартфонах Lumia 950/ Lumia 950 XL.
В смартфонах Windows Hello сканирует радужную оболочку глаза человека с помощью камеры, которая измеряет глубину снимка. Как и у других компаний, после перезапуска смартфона пользователь должен подтвердить первый вход в ОС вводом PIN-кода или пароля.
К сожалению, мобильных устройств на Windows 10 очень мало — компании не проводили достоверные тестирования безопасности, чтобы делать однозначные выводы о безопасности Windows Hello.